Der IT-Dienstleister des Testzentrums im City Center war von der Sicherheitslücke betroffen. Den Betreibern versicherte man, es seien keine Schwerter Datensätze in falsche Hände gelangt. © Carina Strauß
Corona-Schnelltests

Sicherheitslücke bei Corona-Schnelltests: 1400 Datensätze aus Schwerte betroffen

Name, Anschrift, Straße, Telefonnummer, Geburtsdatum, E-Mail und Ergebnis des Corona-Tests: 1400 solcher Datensätze von Schwertern sollen im Netz abrufbar gewesen sein. Das deckten Fachleute auf.

Wer einen kostenlosen Corona-Test in einem Testzentrum bucht, muss seine Personalien preisgeben. Das macht Sinn, aber ist natürlich auch eine sensible Sache. Nach Recherchen des Kollektivs „Zerforschung“ aus Ulm konnte man am Dienstag (6.4.) ungehindert auf 1400 Datensätze von Coronatests allein aus Schwerte zugreifen.

Hinzu kommen weitere Daten aus Berlin (3000), Dortmund (800) Hamburg (3100) und Leipzig (5800), die alle zumindest mit Fachwissen im Netz einsehbar waren.

Betroffen waren Datensätze des Testzentrums am Markt in der ehemaligen Eisdiele. Das wird von einer Schwerter Apotheke geführt, aber von einem Dortmunder Dienstleister betreut, der Eventus Media International (EMI). Die bietet ihre Software samt dem Markennamen testcenter-corona.de als Dienstleister an.

Sicherheitslücke bei der Terminbuchung

Das Problem: Beim Programmieren der Webseite hatte man offensichtlich einen wichtigen Sicherheitsmechanismus vergessen. Der erlaubte es, mit ein wenig Spezialwissen, an die Daten der Testkunden zu gelangen.

„Grundsätzlich hätten wir am Dienstag auf 1400 Datensätze aus Schwerte zugreifen können“, erklärte ein Mitglied von Zerforschung am Freitag (9.4.) auf Anfrage der Redaktion. Das habe man natürlich nicht getan.

Gerieten auch Schwerter Datensätze in falsche Hände?

Ob die Datensätze tatsächlich abgerufen wurden? Die EMI versicherte der Apothekerin Sarah Doll, die das Testcenter betreibt, schnell, dass kein Schwerter Datensatz betroffen sei, also heruntergeladen worden sei.

Daten aus anderen Städten aber sehr wohl, denn in der Tagesschau, die zuerst über dieses Thema berichtet hatte, erklärte ein Sprecher des Unternehmens: „Infolge dieses Angriffs könnten nach unserem aktuellen Kenntnisstand zwischen 6000 und 7000 Datensätze kompromittiert worden seien, die unberechtigt abgerufen bzw. heruntergeladen wurden. Wir sind noch dabei, diese Zahl weiter einzugrenzen.“ Danach werde man die betroffenen Kunden informieren.

Kein Schwerter betroffen, ist das glaubhaft? Wir stellten die Frage an Zerforschung. Die Antwort: Theoretisch könne ein Anbieter feststellen, ob die Daten tatsächlich heruntergeladen wurden. „Es kann auch sein, dass wir schneller als irgendwelche Verbrecher waren“, so ein Mitglied des Kollektivs.

Denn Zerforschung informierte die Medien und das Bundesamt für Sicherheits- und Informationstechnik, das dann den Anbieter informierte. Nach Angaben von Zerforschung wurde die Sicherheitslücke noch am selben Tag geschlossen und zwar nicht nur für die neuen Testergebnisse, sondern auch rückwirkend.

Bislang Sevicepartner für E-Commerce

Der Anbieter Eventus Media International war bislang vor allem als Servicepartner im E-Commerce tätig. Er ist am Phoenixsee beheimatet. Am Freitagnachmittag war das Unternehmen telefonisch nicht für eine Stellungnahme zu erreichen.

Carsten Schumacher, der Apotheker, der das Testzentrum an der Bahnhofstraße betreibt, erklärte am Freitag, dass bei ihm so etwas nicht möglich sei. Er nutze für die Buchung einen anderen Dienstleister, der speziell Apotheken betreut.

Das Kollektiv Zerforschung hatte bereits Anfang März bei anderen Corona-Testanbietern gravierende Sicherheitslücken aufgedeckt.

Über den Autor
Redaktion Schwerte
Ist mit Überzeugung Lokaljournalist. Denn wirklich wichtige Geschichten beginnen mit den Menschen vor Ort und enden auch dort. Seit 2007 leitet er die Redaktion in Schwerte.
Zur Autorenseite
Heiko Mühlbauer
Lesen Sie jetzt